問83
頻出度★★★
情報システムに対する攻撃のうち, ある ID に対して所定の回数を超えてパスワードの入力を間違えたとき, 当該 ID の使用を停止させることが有効な防衛手段となるものはどれか。
平成28年度 秋期 ITパスポート試験 問83
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 83
不正解ア
DoS攻撃はサーバに大量の通信や処理要求を送りつけてサービスを停止・過負荷にさせる攻撃で、特定 ID のパスワードを繰り返し試すものではありません。ID の入力失敗回数で使用停止しても防げないため誤りです。
不正解イ
SQLインジェクションは入力欄に不正な SQL 文を紛れ込ませてデータベースを不正に操作する攻撃です。パスワードの繰り返し入力とは無関係で、入力値の検証(サニタイジング)などで防ぐものなので、ID の使用停止は有効な対策になりません。
- ウ
正解 正解は「ウ」の総当たり攻撃(ブルートフォース攻撃)です。総当たり攻撃は、考えられるパスワードを片端から次々に入力して正解を探り当てようとする攻撃で、成功までに何度も入力の失敗を繰り返すのが特徴です。そこで、ある ID について所定の回数を超えてパスワードを間違えたら、その ID を一時的に使用停止(アカウントロック)にすれば、攻撃者は試行を続けられなくなり、正しいパスワードにたどり着く前に阻止できます。したがって「入力失敗回数の上限で ID を停止する」ことが有効な防衛手段になります。
不正解エ
フィッシングは本物そっくりの偽サイトや偽メールで利用者本人をだまし、ID やパスワードを自分から入力させて盗む攻撃です。正規のログイン画面で失敗を繰り返すわけではないため、入力失敗回数による ID 停止では防げません。
ここがポイント
- 総当たり攻撃(ブルートフォース攻撃)はパスワードを総なめで試す攻撃で、対策は所定回数の失敗でアカウントをロックする、桁数の多い複雑なパスワードにする、などが有効。
- 攻撃名と有効な防御策を対応づけて覚える(アカウントロック=総当たり対策、入力値検証=SQLインジェクション対策、利用者教育=フィッシング対策 など)。
用語